120 tysięcy znaków odsłonięte! Wyciek system promptu Claude Fable 5 — ile jeszcze zostało z bezpieczeństwa AI?

Ta historia z Claude Fable 5 coraz bardziej przypomina publiczny striptiz branży bezpieczeństwa AI.

Według doniesień wielu chińskich mediów z obszaru bezpieczeństwa oraz platform agregujących, Claude Fable 5 — publicznie dostępny model Anthropic na poziomie Mythos — miał zostać otwarty przez jailbreakera elder_plinius przy użyciu skoordynowanego ataku wieloagentowego, a kompletny wewnętrzny system prompt został uporządkowany i wrzucony na GitHub. To około 120 000 znaków.

Co gorsza, wyciek nie zawiera zwykłej definicji roli, lecz najprawdopodobniej kluczową logikę: kontrolę bezpieczeństwa, klasyfikację ryzyka, granice odmowy, wywoływanie narzędzi i routing polityk. Innymi słowy, jeśli doniesienia są prawdziwe, to tak, jakby instrukcję obsługi konsoli bezpieczeństwa czołowego modelu AI wywieszono na ulicy.

Na wstępie zastrzeżenie: ten artykuł nie powiela, nie cytuje i nie uczy używania wyciekłego promptu. Rozmawiamy tylko o tym, dlaczego sprawa jest poważna i co oznacza dla bezpieczeństwa AI.

Najpierw uporządkujmy oś czasu

Claude Fable 5 to nowy model Anthropic zaprezentowany na początku czerwca, uważany przez obserwatorów za publiczną, bezpieczną wersję Mythos 5. W doniesieniach Fable 5 opisywany jest jako nowa generacja Claude'a do złożonego wnioskowania, długich zadań i profesjonalnych przepływów pracy.

Ale od premiery nie brakuje kontrowersji.

Pierwsza fala to zbyt wysoki próg bezpieczeństwa. Według doniesień Fable 5 z powodu obaw o bezpieczeństwo odmawia nawet odpowiedzi na podstawowe pytania z biologii. Czyli nie brakuje mu możliwości — po prostu polityka bezpieczeństwa krępuje go bardzo mocno.

Druga fala to oczywisty podwójny standard Microsoftu: z jednej strony wdraża Fable 5 w usługach dla klientów, z drugiej ogranicza korzystanie z niego własnym pracownikom — podobno z powodu bezpieczeństwa danych i ryzyka związanego z wynikami modelu.

Trzecia, najgłośniejsza: napastnik twierdzi, że przez skoordynowany jailbreak wielu agentów uzyskał system prompt liczący około 120 tysięcy znaków i wrzucił go na GitHub.

Na oficjalnej stronie z komunikatami Anthropic można przeczytać, że rząd USA wydał dyrektywę o kontroli eksportu i zawieszono cały dostęp do Fable 5 oraz Mythos 5. Jeśli chodzi o sam wyciek promptu, oficjalnego potwierdzenia na razie nie ma.

Dlaczego ten atak budzi grozę: nie pojedyncze uderzenie, lecz taktyka wilczego stada

Klasyczny jailbreak opiera się zwykle na jednym magicznym prompcie: skłonić model do zignorowania zasad, przyjęcia roli, rozbicia zadania na części i ominięcia odmowy.

Ale w relacjach z tego zdarzenia ciągle powtarza się jedno określenie: taktyka wilczego stada.

Chodzi o to, że napastnik nie atakuje frontalnie jednym promptem, lecz wystawia wiele współpracujących agentów:

• Jeden agent sonduje granice modelu
• Jeden agent generuje warianty pytań
• Jeden agent ocenia, czy odpowiedź zdradza informacje o strukturze
• Jeden agent składa fragmentaryczne wyjścia w kompletny dokument
• Jeden agent stale koryguje strategię ataku

Zabawa w prompty zmienia się w zautomatyzowany system red teamowy.

Człowiek po 100 próbach ma dość, system ataku oparty na AI może spróbować 100 000 razy i za każdym razem automatycznie optymalizować podejście na podstawie informacji zwrotnej. Im silniejszy jest model z pierwszej linii, tym groźniejsze jest użycie go jako koordynatora ataku.

W tym właśnie tkwi najbardziej niepokojący aspekt tej sprawy: główną siłą przełamującą systemy bezpieczeństwa AI staje się samo AI.

Jak poważny jest właściwie wyciek system promptu

Wiele osób zapyta: to tylko prompt, co z tego, że wyciekł?

To nieporozumienie co do tego, jak działają współczesne systemy LLM. Dzisiejszy system prompt to już dawno nie jedno zdanie „jesteś pomocnym asystentem”. To raczej instrukcja polityki działania w czasie wykonania, która może zawierać:

• Tożsamość modelu i styl interakcji
• Kryteria rozpoznawania treści wysokiego ryzyka
• Poziomy klasyfikacji bezpieczeństwa
• Szablony odmowy dla różnych scenariuszy ryzyka
• Granice wywoływania narzędzi
• Zasady postępowania w newralgicznych obszarach: kod, bezpieczeństwo sieciowe, biologia, chemia
• Kiedy przejść do bezpieczniejszej odpowiedzi
• Kiedy odmówić całkowicie
• Kiedy pozwolić na ogólne wyjaśnienie

Gdy to wszystko ujrzy światło dzienne, napastnik nie musi już strzelać w ciemno.

Dawniej atak na model przypominał otwieranie zamka po omacku: nie znasz budowy wkładki, więc próbujesz na chybił trafił. Po wycieku system promptu masz jakby przekrój wkładki. Napastnik może zaprojektować obejście dla każdej reguły z osobna i celować w szczeliny na granicach.

Dlatego wyciek promptu nie jest „kwestią wstydu”, tylko pełnoprawnym incydentem bezpieczeństwa.

Co oznacza 120 tysięcy znaków

120 tysięcy znaków to mniej więcej objętość noweli albo kilkudziesięciu stron dokumentacji polityki bezpieczeństwa.

Jeśli ten rozmiar jest prawdziwy, oznacza to, że kontrola bezpieczeństwa Fable 5 nie składa się z kilku prostych reguł, lecz jest całym złożonym systemem polityk. Najpewniej dzieli poszczególne obszary ryzyka na drobne gałęzie: bezpieczeństwo sieciowe, bezpieczeństwo biologiczne, chemia, manipulacja psychologiczna, oszustwa finansowe, wyciek prywatności, prawa autorskie, wrażliwość polityczna, ochrona nieletnich, porady medyczne itd.

Widać tu dwa kontrasty.

Po pierwsze, inżynieria bezpieczeństwa Anthropic jest rzeczywiście bardzo drobiazgowa. Na tyle, że wiele granic ma wyraźną definicję, i dlatego po premierze Fable 5 bywa „bezpieczny aż do przesady”.

Po drugie, im drobniejsze reguły, tym wyraźniejsza powierzchnia ataku po wycieku. Napastnik widzi, które kategorie wyzwalają odmowę, które sformułowania przechodzą, a gdzie są szare strefy.

Im bardziej złożona polityka bezpieczeństwa, tym bardziej przypomina rozbudowany system oprogramowania. A systemy oprogramowania mają błędy — systemy oparte na promptach mają luki logiczne tak samo.

To nie pierwszy raz: bezpieczeństwo AI wchodzi w erę wycieków

W ostatnich dwóch latach podobnych incydentów w świecie AI jest coraz więcej.

Ktoś ujawnił kod źródłowy Claude Code, ktoś wydobył system prompt komercyjnego agenta, ktoś zdobył ukryty prompt przez wtyczkę przeglądarki, ktoś wyciągnął zasady systemowe, każąc modelom wypytywać się nawzajem.

Powód jest prosty: kluczowe aktywa produktów opartych na dużych modelach przenoszą się z tradycyjnego kodu na prompty, orkiestrację narzędzi, routing polityk, systemy pamięci i reguły bezpieczeństwa.

Kiedyś firmy bały się wycieku kodu źródłowego.

Dziś firmy AI muszą bać się także:

• wycieku system promptu
• wycieku schematu narzędzi (tool schema)
• wycieku safety policy
• wycieku wewnętrznych zestawów ewaluacyjnych
• wycieku przepływów pracy agenta
• wycieku pamięci i preferencji użytkowników

To niekoniecznie jest kod w tradycyjnym sensie, ale to właśnie one decydują o zachowaniu produktu. Są kodem źródłowym nowej epoki.

Wpływ na użytkowników biznesowych

Jeśli jesteś zwykłym użytkownikiem, to co najwyżej duża sensacja.

Ale jeśli odpowiadasz za bezpieczeństwo w firmie, sytuacja wygląda inaczej.

Firmy wprowadzają duże modele do obsługi klienta, audytu kodu, analizy danych, automatyzacji biurowej, wewnętrznych baz wiedzy, procesów finansowych, a nawet centrów operacji bezpieczeństwa. Model nie jest już tylko czatbotem, lecz podmiotem wykonującym działania z uprawnieniami do narzędzi.

Gdy system prompt i granice narzędzi wyjdą na jaw, napastnik może precyzyjniej konstruować wejścia, by model niewłaściwie użył narzędzi, ujawnił informacje, ominął zatwierdzenia lub wykonał błędne działanie.

Najgroźniejsze są scenariusze agentowe. Agent nie tylko odpowiada — operuje plikami, wywołuje API, wysyła wiadomości, przeszukuje bazy danych, uruchamia komendy. Po wycieku system promptu napastnik zna logikę dekompozycji zadań i logikę odmowy, więc może zaprojektować łańcuch ataku idealnie dopasowany do słabości agenta.

Dlatego firmy nie mogą już traktować system promptu jako „wewnętrznego tekstu”. Powinien on zostać włączony do zarządzania aktywami bezpieczeństwa.

Jak firmy powinny się bronić

Po pierwsze: nie opieraj całego bezpieczeństwa na system prompcie.

Prompt może ograniczać model, ale nie może być jedyną linią obrony. Prawdziwe bezpieczeństwo powinno zejść niżej: do uprawnień narzędzi, bramy API, warstwy dostępu do danych, logów audytowych i zatwierdzania przez człowieka.

Po drugie: minimalizuj uprawnienia narzędzi.

Trzeba jawnie określić, co agent może czytać, zapisywać, usuwać i do kogo wysyłać. Nie dawaj mu uprawnień globalnego administratora tylko dlatego, że model „wydaje się bystry”.

Po trzecie: warstwuj system prompt.

Nie wpisuj wszystkich polityk w jeden ogromny prompt. Podziel go na warstwy: tożsamości, zadań, narzędzi, bezpieczeństwa i audytu, i ładuj je dynamicznie w zależności od scenariusza. Wtedy nawet wyciek jednej warstwy nie daje napastnikowi pełnej powierzchni kontroli.

Po czwarte: wprowadź detekcję po stronie wyjścia.

Nie sprawdzaj tylko wejścia użytkownika. Wyjście modelu też trzeba poddać rozpoznawaniu informacji wrażliwych, wykrywaniu działań nieuprawnionych i blokowaniu niebezpiecznych instrukcji.

Po piąte: automatyzuj red team.

Skoro napastnicy używają wieloagentowej taktyki wilczego stada, obrońcy też powinni mieć wieloagentowy red team. Regularnie zlecaj jednej grupie modeli atakowanie drugiej, automatycznie generuj próbki testowe i stale aktualizuj linię obrony.

Dlaczego nie polecam rozpowszechniać oryginału

W sieci na pewno ktoś powie: daj linka do GitHub, chcę zobaczyć.

Nie polecam.

Po pierwsze, oryginał może zawierać szczegóły nadające się do bezpośredniego obejścia polityki bezpieczeństwa. Jego rozpowszechnianie pomaga kolejnym osobom odtworzyć atak.

Po drugie, prawdziwość oryginału nie została potwierdzona oficjalnie, więc wtórne rozpowszechnianie łatwo zamienia niepełne i zanieczyszczone treści w rzekome fakty.

Po trzecie, dla badaczy prawdziwym obiektem badań są punkty awarii architektury bezpieczeństwa, a nie kopiowanie cudzego wyciekłego promptu.

Środowisko bezpieczeństwa powinno dyskutować o tym, dlaczego doszło do wycieku, jak ograniczyć szkody i jak zbudować nowe warstwy ochrony — a nie gapić się na prompt jak na tanią sensację.

Najważniejsza lekcja z tej sprawy

Wyciek promptu Claude Fable 5 wygląda na pojedynczą wpadkę Anthropic, ale w istocie to problem, którego nie ominie cała branża AI.

Coraz więcej decyzji, działań i granic bezpieczeństwa powierzamy dużym modelom. A wiele kluczowych mechanizmów kontrolnych w systemach LLM wciąż opiera się na tak kruchym medium, jakim jest prompt w języku naturalnym.

Język naturalny jest elastyczny i w tym jego zaleta, ale też wada. Nie ma ścisłych typów jak kod, nie jest jednoznaczny jak lista kontroli dostępu, nie izoluje twardo jak sandbox.

Dlatego przyszłe bezpieczeństwo AI nie może opierać się na „pisaniu coraz dłuższego system promptu”.

Naprawdę solidne kierunki to:

• wewnętrzny trening bezpieczeństwa modelu
• zewnętrzny silnik polityk
• sandbox uprawnień narzędzi
• obowiązkowe logi audytowe
• izolacja informacji poufnych
• weryfikacja krzyżowa wielu modeli
• zautomatyzowane testy red teamowe

System prompt może być kierownicą, ale nie może być hamulcem.

Na koniec

Najbardziej ironiczne w tej historii z Fable 5 jest to, że Anthropic zawsze było sztandarem bezpieczeństwa AI, a tu najsilniejszy model bezpieczeństwa niedługo po premierze zostaje oskarżony o wyciek system promptu.

Nie znaczy to, że Anthropic sobie nie radzi. Wręcz przeciwnie — pokazuje to, że bezpieczeństwo AI samo w sobie weszło w trudniejszą fazę.

Kiedyś człowiek atakował AI.

Dziś AI organizuje AI, by atakować AI.

Gdy atak się automatyzuje, polityki się automatyzują i retrospektywa się automatyzuje, obrona oparta na jednym 120-tysięcznym prompcie bezpieczeństwa z definicji nie wystarczy.

Epoka Wiosen i Jesieni w bezpieczeństwie AI się skończyła. Dopiero zaczyna się epoka Walczących Królestw.